Considérant 94

Considérant 94

Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555

(94)

Les États membres peuvent confier le rôle des autorités compétentes pour les services de confiance aux organes de contrôle désignés en vertu du règlement (UE) no 910/2014 afin d’assurer le maintien des pratiques actuelles et de tirer parti des connaissances et de l’expérience acquises dans le cadre de l’application dudit règlement. En pareil cas, les autorités compétentes en vertu de la présente directive devraient coopérer étroitement et en temps utile avec ces organes de contrôle, en échangeant les informations pertinentes afin de garantir une supervision efficace et le respect, par les prestataires de services de confiance, des exigences énoncées dans la présente directive et dans le règlement (UE) no 910/2014. Le cas échéant, le CSIRT ou l’autorité compétente en vertu de la présente directive devrait informer immédiatement l’organe de contrôle désigné en vertu du règlement (UE) no 910/2014 de toute cybermenace ou incident important notifié dans le domaine de la cybersécurité affectant les services de confiance, ainsi que de toute violation de la présente directive par un prestataire de services de confiance. Aux fins de la notification, les États membres peuvent utiliser, le cas échéant, le point d’entrée unique mis en place pour effectuer une notification commune et automatique à la fois à l’organe de contrôle désigné en vertu du règlement (UE) no 910/2014 et au CSIRT ou à l’autorité compétente en vertu de la présente directive.

Spécificité Luxembourg
loi luxembourgeoise du 28 juillet 2023 relative à la cybersécurité, modifiée par la loi du 28 juillet 2025

Au Luxembourg, l'organe de contrôle eIDAS est l'ILNAS (Institut Luxembourgeois de la Normalisation, de l'Accréditation, de la Sécurité et qualité des produits et services), tandis que l'autorité NIS 2 est l'ILR. La loi du 28 juillet 2023 relative à la cybersécurité (modifiée par la loi du 28 juillet 2025) n'a pas encore fusionné les deux guichets : un prestataire de services de confiance qualifié luxembourgeois (LuxTrust, POST, etc.) doit donc notifier en parallèle ILNAS et ILR, avec le CSIRT national (GOVCERT.LU) en copie pour les incidents significatifs.

Pratique Luxgap : nous préconfigurons le Trust Service Dispatcher avec les trois destinataires luxembourgeois (ILNAS, ILR, GOVCERT.LU) et les formulaires officiels en vigueur, pour éviter tout oubli déclaratif lors d'un incident affectant une AC ou un service d'horodatage qualifié.